Data Act (EU) 2023/2854 – særligt om ”databehandlingstjenester” (cloud)


Formålet med dataforordningen er at styrke dataøkonomien i EU og fremme et konkurrencedygtigt datamarked ved at regulere:
  • tilrådighedsstillelse af produktdata og relaterede tjenestedata for brugeren af det forbundne produkt eller den relaterede tjeneste 
  • dataindehaveres tilrådighedsstillelse af data for datamodtagere 
  • dataindehaveres tilrådighedsstillelse af data for offentlige myndigheder, Kommissionen, Den Europæiske Centralbank og EU-organer, hvis der er et ekstraordinært behov for de pågældende data med henblik på udførelse af en specifik opgave i offentlighedens interesse 
  • lettelse af skift mellem databehandlingstjenester 
  • indførelse af sikkerhedsforanstaltninger mod tredjeparts ulovlige adgang til andre data end personoplysninger, og 
  • f) sikring af udvikling af interoperabilitetsstandarder for data, der skal tilgås, overføres og anvendes.

I det følgende fokuseres på udvalgte forhold vedrørende ”databehandlingstjenester”.

Ved databehandlingstjenester forstås en ”digital tjeneste, der leveres til en kunde, og som muliggør alment tilgængelig og on demand-netværksadgang til en fælles pulje af konfigurerbare, skalerbare og elastiske databehandlingsressourcer af central, distribueret eller stærkt distribueret karakter, og som kan tilvejebringes hurtigt og stilles til rådighed med minimal administrativ indsats eller tjenesteudbyderinteraktion”.  

Definitionen vil omfatte en lang række cloud-udbydere.

Regelsættet stiller krav til cloududbydere, som fx ikke må skabe eller opretholde forhindringer, der gør det svært for kunder at:
  • Opsige deres aftale efter den maksimale opsigelsesfrist på to måneder og efter en vellykket afslutning på skifteprocessen. 
  • Indgå nye aftaler med andre cloud-tjenesteudbydere, der tilbyder samme type tjeneste. 
  • Overføre deres data og digitale aktiver til en anden cloud-tjenesteudbyder eller til en lokal IT-infrastruktur, også efter at have benyttet sig af et gratis tilbud. 
  • Opnå samme funktionalitet med en ny cloud-tjenesteudbyder, som de havde med den tidligere udbyder. 
  • Adskille specifikke databehandlingstjenester fra andre tjenester, hvis det er teknisk muligt. 

Cloududbyderens kontraktvilkår skal afspejle de nye krav pr. 12. september 2025, og der er derfor god anledning for både leverandører og kunder til at gennemgå eksisterende kontrakter, og også det tekniske set- up, som skal kunne understøtte et skifte.
 

Hvad skal kontrakten indeholde?

Kontrakten skal bl.a. indeholde bestemmelser om følgende ved skifte af leverandør:
  1. At kunden skal kunne skifte til en anden databehandlingstjeneste eller overføre alle data til en lokal IT-infrastruktur uden forsinkelse og senest 30 dage efter opsigelsesfristen.  
    • Udbyderen skal i den forbindelse 
      • Hjælpe kunden og godkendte tredjeparter med skiftet. 
      • Sikre forretningskontinuitet og fortsætte med at levere tjenester. 
      • Informere om kendte risici for kontinuitet. 
      • Opretholde et højt sikkerhedsniveau under hele skifteprocessen. 
  2. En forpligtelse for udbyderen til at støtte kundens exitstrategi og stille alle relevante oplysninger til rådighed.
  3. At aftalen ophører, og kunden skal underrettes, når:
    • Skifteprocessen er afsluttet. 
    • Opsigelsesfristen udløber, hvis kunden ønsker at slette sine data. 
  4. At opsigelsesfristen for at starte skifteprocessen ikke må overstige to måneder. 
  5. En udtømmende specifikation af alle data og digitale aktiver, der kan overføres, og undtagne data, der er nødvendige for udbyderens interne funktion. 
  6. En minimumsperiode for dataudtræk på 30 kalenderdage efter overgangsperioden. 
  7. Sikring af fuldstændig sletning af kundens data efter udtræksperioden. 
  8. Skiftegebyrer


Kunden kan vælge at: 

  • Skifte til en anden udbyder. 
  • Skifte til en lokal IT-infrastruktur. 
  • Slette sine data. 

Hvis den maksimale overgangsperiode ikke er teknisk mulig, skal udbyderen informere kunden inden for 14 dage og angive en alternativ periode på højst syv måneder. 

Aftalen skal give kunden ret til at forlænge overgangsperioden én gang, hvis det er nødvendigt. 

Leverandøren må i B2B-aftaler opkræve et gebyr i overgangsperiode fra den 11. januar 2024 til den 12. januar 2027, som ikke må overstige de omkostninger, som udbydere af databehandlingstjenester afholder, og som er direkte forbundet med den pågældende skifteproces.

Fra den 12. januar 2027 må udbydere af databehandlingstjenester ikke pålægge kunder skiftegebyrer for skifteprocessen.